Voldoen aan de Minnesota Consumer Data Privacy Act (MCDPA)
Pandectes GDPR Compliance helpt Shopify-winkels te voldoen aan de eisen van de MCDPA van Minnesota door cookietoestemming te beheren, opt-outsignalen te respecteren en privacyverzoeken van consumenten af te handelen.
Gratis starten
De #1 app voor cookietoestemming op Shopify, vertrouwd door 185k winkels
Wat is de MCDPA?
De Minnesota Consumer Data Privacy Act (MCDPA) is de uitgebreide consumentenprivacywet van Minnesota. De wet geeft inwoners van Minnesota rechten over hun persoonsgegevens en legt verplichtingen op aan de bedrijven die die gegevens verzamelen en verwerken. De privacywet van Montana heeft dezelfde afkorting, maar deze pagina gaat alleen over de wet van Minnesota.
De wet van Minnesota volgt het algemene model van andere Amerikaanse privacywetten op staatsniveau, met een paar onderdelen die verder gaan. Inwoners van Minnesota hebben het recht om:
- Te laten bevestigen of een bedrijf hun persoonsgegevens verwerkt, en die gegevens in te zien
- Onjuiste persoonsgegevens te laten corrigeren
- Persoonsgegevens te laten verwijderen
- Een overdraagbare kopie van hun persoonsgegevens te krijgen
- Zich af te melden voor gerichte advertenties, de verkoop van hun persoonsgegevens en bepaalde vormen van profilering
- Een lijst te krijgen van de specifieke derden aan wie het bedrijf hun persoonsgegevens heeft verstrekt
- De uitkomst van een profileringsbesluit met rechtsgevolgen of vergelijkbaar ingrijpende gevolgen aan te vechten, de redenen erachter te horen en het besluit opnieuw te laten beoordelen als het op onjuiste gegevens was gebaseerd
Bedrijven moeten ook toestemming vragen voordat ze gevoelige gegevens verwerken, zoals gezondheidsgegevens, precieze locatiegegevens, biometrische gegevens of gegevens waaruit ras of etnische afkomst blijkt. Ze moeten het verzamelen van gegevens beperken tot wat toereikend, relevant en redelijkerwijs nodig is voor de doelen die ze bekendmaken, en als onderdeel van hun gegevensbeveiliging een overzicht bijhouden van de persoonsgegevens die ze beheren.
Voor wie geldt de MCDPA?
De wet van Minnesota geldt voor bedrijven die actief zijn in Minnesota of producten of diensten aanbieden die op inwoners van Minnesota zijn gericht, en die in een kalenderjaar de persoonsgegevens beheren of verwerken van ten minste 100.000 consumenten in Minnesota (gegevens die alleen worden gebruikt om een betaling af te ronden niet meegeteld), of van ten minste 25.000 consumenten terwijl ze meer dan 25% van hun bruto-omzet halen uit de verkoop van persoonsgegevens. Kleine bedrijven zoals gedefinieerd door de US Small Business Administration zijn uitgezonderd, maar ook zij mogen de gevoelige gegevens van een consument niet verkopen zonder voorafgaande toestemming.
Wat gebeurt er als ik me niet aan de MCDPA houd?
De Attorney General van Minnesota handhaaft de wet. De belangrijkste punten over de handhaving:
- Een bedrijf dat de wet overtreedt, kan een verbod opgelegd krijgen en een civiele boete van maximaal $7.500 per overtreding.
- De wet geeft geen individueel vorderingsrecht, dus consumenten kunnen bedrijven niet rechtstreeks op grond van de wet aanklagen.
- Tot 31 januari 2026 moest de Attorney General eerst een waarschuwingsbrief sturen en 30 dagen geven om een overtreding te herstellen voordat hij kon optreden. Die herstelperiode is verlopen, dus de Attorney General kan nu zonder voorafgaande kennisgeving handhavend optreden.
Wanneer ging de MCDPA in?
De wet van Minnesota ging in op 31 juli 2025. Instellingen voor hoger onderwijs kregen tot 31 juli 2029 om aan de wet te voldoen, maar webwinkels en andere bedrijven die aan de drempels voldoen, vallen er nu al onder.
Aan de MCDPA voldoen
Verkoopt je webwinkel aan inwoners van Minnesota en voldoe je aan de drempels hierboven, dan draait het meeste praktische werk om cookies en tracking. Marketingpixels, analysetags en advertentiecookies gelden onder privacywetten van staten vaak als gerichte advertenties of als “verkoop” van persoonsgegevens, dus ze moeten de keuzes van elke bezoeker respecteren.
Praktische stappen voor een Shopify-winkel zijn onder meer:
- Bied een duidelijke opt-out. Geef bezoekers een eenvoudige manier om zich af te melden voor gerichte advertenties en de verkoop van hun persoonsgegevens, zoals een link “Mijn persoonsgegevens niet verkopen of delen”, en zorg dat de tracking stopt zodra ze dat doen.
- Respecteer universele opt-outsignalen. De wet van Minnesota verplicht bedrijven om consumenten zich te laten afmelden via een universeel opt-outmechanisme dat hun browser of apparaat verstuurt, zoals Global Privacy Control (GPC).
- Vraag toestemming voor gevoelige gegevens. Verwerk geen gevoelige gegevens zonder toestemming van de consument, en controleer je apps en formulieren op alles wat zulke gegevens verzamelt.
- Houd een gegevensoverzicht bij. Leg vast welke persoonsgegevens je winkel verzamelt, waar ze worden opgeslagen en welke apps en partners ze ontvangen. Zo kun je klanten ook makkelijker de lijst geven van de specifieke derden waar ze recht op hebben.
- Werk je privacyverklaring bij. Leg uit welke persoonsgegevens je verzamelt, waarom, wie ze ontvangt, hoe lang je ze bewaart en hoe consumenten hun rechten kunnen uitoefenen, waaronder hun recht om profileringsbesluiten aan te vechten.
- Handel verzoeken van consumenten af. Zorg voor een betrouwbare manier waarop klanten inzage, correctie, verwijdering of een kopie van hun gegevens kunnen aanvragen, en reageer binnen de vereiste termijn.
Met een consent management platform zijn deze stappen veel makkelijker bij te houden. Pandectes GDPR Compliance is gemaakt voor Shopify-winkels en biedt een cookiebanner met opt-outopties voor Amerikaanse staten, een link “Mijn persoonsgegevens niet verkopen of delen” en ondersteuning voor het Global Privacy Control-signaal. De app scant en classificeert automatisch de cookies in je winkel, maakt een cookieverklaring, bewaart toestemmingslogs en helpt je verzoeken van betrokkenen af te handelen. Regiospecifieke bannerinstellingen gebruiken geolocatie om bezoekers uit Minnesota en andere staten de juiste ervaring te tonen.
Privacywetten verschillen in de details en blijven veranderen, dus laat je opzet waar nodig door een jurist beoordelen.